Уязвимости в плагинах для WordPress

Любая коммерческая CMS лучше не коммерческой, WP сама по себе не плоха в плане безопасности, все взломы как правило проводятся через уязвимости в плагинах / шаблонах. Причем популярность / количество загрузок / установок плагина не говорит о его надежности.

---------- Добавлено 23.12.2014 в 19:46 ----------

Это и была мат часть :) Опровергните аргументом, или опять скажете "рукалицо"? ;)

Обоснуешь или тоже ? ;)

Это такой же бред, как утверждение выше.

Ты за не делю так и не нагуглил что означает "проактивная защита" и как\где она реализуется? Тоже и про "защиту от XSS атак, SQL инъекций". Или не понял прочитанное? Согласен, понять "это" не каждому дано.

Учить этому? Ок. Дорого.

ВО! Хоть одну правильную мысль где-то удалось прочитать :) Держись этого источника.

Добрый вечер, недавно стал пользователем сайта на Вордпрессе и возникло ряд вопросов по его безопасности. Все было ок какое-то время, потом от хостера стали приходить письма: "Здравствуйте! На вашем аккаунте обнаружены файлы, содержащие вредоносный код.

Используя данное вредоносное программное обеспечение, злоумышленники производят атаки сторонних серверов, рассылку спама и другие вредоносные действия. Файлы, содержащие вредоносный код, были доступны по ссылкам:

*********.ru/wp-content/themes/dt-the7/wpbakery/js_composer/assets/lib/prettyphoto/images/option.php". Что делал: вычистил лишние файлы, удалил недействующие сторонние темы, оставил одну активную, поставил все обновления, установил плагин Better WP Security, настроил, внес изменения в .htaccess для защиты от XSS-инъекций, закрыл файл wp-config.php от изменений. Пару недель все было снова нормально, обрадовался. Но тут блин опять: "*******.ru/wp-content/plugins/revslider/views/templates/option.php", только уже через плагин.

Как бороться, есть панацея? Есть ли смысл сверстать новый шаблон, либо через плагины будут ломать? Либо перейти на платную КМС и не парить мозг?

Благодарю за ответы, с уважением.

Андрей_К., чем платная cms ломается хуже бесплатной? вон хоть dle для примера взять...

P.S. revolution slider видимо ниже версии 4.2...

revolution slider проверю, обновлю, спасибо. Тут есть реальные специалисты именно по безопасности, кто может посмотреть сайт и залатать защиту? Разбираться самому, к сожалению, пока времени нет.

Ты вначале купи всё легально или смени на бесплатное из оф репо. Иначе вечно так и будешь страдать. Сегодня одно почистят - завтра обнаружиться дыра, а обновиться ты не сможешь..

А искать в этом разделе специалистов (как и оным предлагать услуги) запрещают правила форума.

Тоже самое можно сказать про голову заявителя. :D

Недавно взломали через модуль крос постинга вконтакте. Ломают автоматом. Ставят шелл и прописывают в .htaccess код. Настройка прав на сервере, чистка кода и поиск шеллов помогла.

Насчет безопастности WP то всё ок. Ломают всё и всех. Шеллы искал через - https://github.com/emposha/PHP-Shell-Detector

Андрей, для вас есть решение, не самое изысканное, но зато бесплатное, простое и быстрое. Решение такое: блокировка всех файлов и папок на изменение, кроме папки images (чтобы была возможность добавлять новые посты/материалы) и возможно некоторых других, которые могут использовать плагины, но как правило хватает images.

Папку Images тоже можно защитить, ниже опишу весь процесс, но должен отметить, понадобится доступ к командной строке, поэтому сайт должен находится на VPS, либо у хостера который дает доступ к шел.

1. Заходим через командную строку в папку вашего сайта, например public_html и выполняем команду

chattr -R +i ./

Эта команда блокирует все папки и файлы, теперь их нельзя будет изменить, и в них ничего нельзя будет загрузить (например тот же самый шел).

2. Чтобы разблокировать на запись папку images выполним команду

chattr -R -i wp-includes/images

3. Помещаем в папку wp-includes/images файл .htaccess с инструкцией внутри:

RemoveHandler .php

Таким образом, если кто то загрузит в нее шел, он не сможет его запустить.

===

Перед работой с файлами по фтп защиту нужно отключать. Включенная защита не даст возможности с ними работать.

Отключить защиту можно так: chattr -R -i ./ (запускается также из корневой папки сайта, например public_html)

===

На счет безопасности платных CMS, есть хорошее исследование "На каких CMS сделаны сайты банков?"

MaksimAlekseev, хорош тупить!

Ведь ты даже не знаешь что такой "папки" нет в ВП. И не знаешь как сделать на шареде то, что ты написал. И совсем не в курсе, что это нафик не надо.

Жесть.. повбавабты таких "советчиков". Иди делай это на своём недохостинге "с проактивной защитой от вирусов"